🇰🇷 한글 설명
Parse Server의 GraphQL 엔드포인트는 인증되지 않은 호출자에게 Did you mean... 제안 사항을 통해 스키마 메타데이터를 노출하는 취약점이 있습니다. 공격자는 공개된 앱 ID만으로 잘못된 쿼리를 반복하여 클래스 및 필드 이름과 같은 구조 정보를 재구성할 수 있습니다. 이 문제는 버전 8.6.78 및 9.9.1-alpha.2에서 패치되었습니다.
💡 쉬운 설명
해커가 로그인 없이 서버의 데이터 구조를 엿볼 수 있는 구멍이 있었습니다. 잘못된 요청을 반복해서 보내면 서버가 어떤 데이터가 있는지 알려주어 정보를 빼낼 수 있습니다. 최신 버전으로 업데이트하면 이 문제를 해결할 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 8.6.78 and 9.9.1-alpha.2, Parse Server's GraphQL endpoint discloses schema metadata to unauthenticated callers through Did you mean ...? suggestions embedded in GraphQL validation-error messages. An unauthenticated caller who knows only the public application id can iteratively send malformed queries to reconstruct class names, field names, argument names, mutation names, and input-object fields. This issue has been patched in versions 8.6.78 and 9.9.1-alpha.2.
📍 영향받는 시스템
Parse Server versions < 8.6.78 and < 9.9.1-alpha.2
⚔️ 공격 벡터
Unauthenticated iterative malformed GraphQL queries to extract schema metadata via validation error messages
🛡️ 대응 방법
Upgrade Parse Server to version 8.6.78 or 9.9.1-alpha.2 or later
🔧 검증 코드
출력된 버전이 8.6.78 미만 또는 9.9.1-alpha.2 미만인 경우 취약한 것으로 판단
npm list parse-server 2>/dev/null | grep parse-server
💻 영향받는 소프트웨어
IBM WebSphere Application Server